中的精细访问控制Amazon Elasticsearch Service

查看当前租户或更改租户

1. 导航到 Kibana 并进行登录。

2. 在右上角，选择您的用户图标。

3. 选择 Switch tenanters。

4. 在创建可视化内容或控制面板之前验证租户。如果您想与所有其他 Kibana 用户共享您的工作，请选择 Global (全球). 要与一部分 Kibana 用户共享您的工作，请选择其他共享租户。否则，请选择 Private (私有).

开始使用精细访问控制

1. 使用以下设置创建域

   • Elasticsearch 7.8

   • 公有访问权限

   • 已启用精细访问控制，并将 IAM 角色作为主用户（在本教程的其余内容中，为 IAMMasterUserRole

   • 已启用用于 Kibana 的 Amazon Cognito 身份验证

   • 以下访问策略：

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "AWS": [
               "*"
             ]
           },
           "Action": [
             "es:ESHttp*"
           ],
           "Resource": "arn:aws:es:region:account:domain/domain-name/*"
         }
       ]
     }

   • 所有到达域的流量所需的 HTTPS

   • 节点到节点加密

   • 静态数据加密

2. 导航到 IAM 控制台，然后选择 Roles (角色).

3. 选择 IAMMasterUserRole，然后选择 Trust relationships （信任关系） 选项卡。

4. 选择 Edit trust relationship （编辑信任关系），并确保 Amazon Cognito 身份池可以担任该角色。您应看到以下语句：

   {
     "Version": "2012-10-17",
     "Statement": [{
       "Effect": "Allow",
       "Principal": {
         "Federated": "cognito-identity.amazonaws.com"
       },
       "Action": "sts:AssumeRoleWithWebIdentity",
       "Condition": {
         "StringEquals": {
           "cognito-identity.amazonaws.com:aud": "identity-pool-id"
         },
         "ForAnyValue:StringLike": {
           "cognito-identity.amazonaws.com:amr": "authenticated"
         }
       }
     }]
   }

5. 选择 Update Trust Policy.

6. 将相同的信任策略添加到第二个 IAM 角色（对于本教程的其余部分，为 IAMLimitedUserRole

7. 导航到 Amazon Cognito 控制台，然后选择 Manage User Pools (管理用户池).

8. 选择您的用户池，然后选择 Users and groups (用户和组).

9. 选择 Create user (创建用户)，指定用户名 master-user 和密码，然后选择 Create user (创建用户).

10. 创建另一个名为 的用户。limited-user.

11. 选择 Groups (组) 选项卡，然后选择 Create group (创建组).

12. 将组命名为 master-user-group，在 IAMMasterUserRoleIAM role （IAM 角色） 下拉列表中选择 ，然后选择 Create group （创建组）。

13. 创建另一个名为 limited-user-group 的组，该组使用 IAMLimitedUserRole.

14. 选择 master-user-group，再选择 Add users (添加用户)，然后添加 master-user.

15. 选择 limited-user-group，再选择 Add users (添加用户)，然后添加 limited-user.

16. 选择 App client settings （应用程序客户端设置） 并记下您的域的应用程序客户端 ID。

17. 选择 Federated Identities (联合身份)，再选择您的身份池，然后选择 Edit identity pool (编辑身份池).

18. 展开 Authentication providers (身份验证提供商)，查找域的用户池 ID 和应用程序客户端 ID，然后将 Use default role (使用默认角色) 更改为 Choose role from token (从令牌中选择角色).

19. 对于 Role resolution (角色解析)，选择 DENY (拒绝). 在使用此设置时，用户必须位于组中才能在身份验证后接收 IAM 角色。

20. 选择 Save Changes.

21. 导航到 Kibana。

22. 使用 进行登录。master-user.

23. 选择 Try our sample data (试用我们的示例数据).

24. 添加示例飞行数据。

25. 依次选择 Security （安全性）、Roles （角色） 和 Create role （创建角色）。

26. 将角色命名为 new-role.

27. 对于索引权限，请为索引模式指定 kibana_sample_data_fli*。

28. 对于操作组，选择 read （读取）。

29. 对于 Document Level Security Query （文档级安全查询），请指定以下查询：

    {
      "match": {
        "FlightDelay": true
      }
    }

30. 对于字段级安全性，请选择 Exclude fields （排除字段） 并指定 FlightNum。

31. 对于 Anonymize fields （匿名化字段），指定 Dest。

32. 选择创建.

33. 依次选择 Mapped users （映射的用户） 和 Manage mapping （管理映射）。然后，添加 IAMLimitedUserRole 的 ARN 作为外部身份，并选择 Map。

34. 返回角色列表并选择 kibana_user。依次选择 Mapped users （映射的用户） 和 Manage mapping （管理映射）。然后，添加 IAMLimitedUserRole 的 ARN 作为外部身份，并选择 Map。

35. 在新的私有浏览器窗口中，导航到 Kibana，使用 limited-user 进行登录，然后选择 Explore on my own (自行浏览).

36. 选择 Dev Tools （开发人员工具），然后运行默认搜索：

    GET _search
    {
      "query": {
        "match_all": {}
      }
    }

    请注意权限错误。limited-user 无权运行集群范围的搜索。

37. 运行另一个搜索：

    GET kibana_sample_data_flights/_search
    {
      "query": {
        "match_all": {}
      }
    }

    请注意，在所有匹配的文档中，有一个为 FlightDelay 的 true 字段，一个匿名化的 Dest 字段，但没有 FlightNum 字段。

38. 在原始浏览器窗口中，以 master-user 身份登录，选择 Dev Tools （开发人员工具），然后执行相同的搜索。请注意权限、命中数、匹配文档和包含字段的差异。

开始使用精细访问控制

1. 使用以下设置创建域

   • Elasticsearch 7.9

   • 公有访问权限

   • 对内部用户数据库中的主用户的精细访问控制（对于本教程的其余部分，为 TheMasterUser

   • Amazon Cognito 用于 Kibana 的 身份验证已禁用

   • 以下访问策略：

     {
       "Version": "2012-10-17",
       "Statement": [
         {
           "Effect": "Allow",
           "Principal": {
             "AWS": [
               "*"
             ]
           },
           "Action": [
             "es:ESHttp*"
           ],
           "Resource": "arn:aws:es:region:account:domain/domain-name/*"
         }
       ]
     }

   • 所有到达域的流量所需的 HTTPS

   • 节点到节点加密

   • 静态数据加密

2. 导航到 Kibana。

3. 使用 进行登录。TheMasterUser.

4. 选择 Try our sample data (试用我们的示例数据).

5. 添加示例飞行数据。

6. 依次选择 Security （安全性）、Internal users （内部用户） 和 Create internal user （创建内部用户）。

7. 将用户命名为 new-user 并指定密码。然后选择 Create (创建).

8. 依次选择 Roles (角色)、Create role (创建角色).

9. 将角色命名为 new-role.

10. 对于索引权限，请为索引模式指定 kibana_sample_data_fli*。

11. 对于操作组，选择 read （读取）。

12. 对于 Document Level Security Query （文档级安全查询），请指定以下查询：

    {
      "match": {
        "FlightDelay": true
      }
    }

13. 对于字段级安全性，请选择 Exclude fields （排除字段） 并指定 FlightNum。

14. 对于 Anonymize fields （匿名化字段），指定 Dest。

15. 选择创建.

16. 选择 Mapped users （映射的用户）、Manage mapping （管理映射）。然后，将 new-user 添加到 Users （用户），并选择 Map （映射）。

17. 返回角色列表并选择 kibana_user。依次选择 Mapped users （映射的用户） 和 Manage mapping （管理映射）。然后，将 new-user 添加到 Users （用户），并选择 Map （映射）。

18. 在新的私有浏览器窗口中，导航到 Kibana，使用 new-user 进行登录，然后选择 Explore on my own (自行浏览).

19. 选择 Dev Tools （开发人员工具） 并运行默认搜索：

    GET _search
    {
      "query": {
        "match_all": {}
      }
    }

    请注意权限错误。new-user 无权运行集群范围的搜索。

20. 运行另一个搜索：

    GET kibana_sample_data_flights/_search
    {
      "query": {
        "match_all": {}
      }
    }

    请注意，在所有匹配的文档中，有一个为 FlightDelay 的 true 字段，一个匿名化的 Dest 字段，但没有 FlightNum 字段。

21. 在原始浏览器窗口中，以 TheMasterUser 身份登录，选择 Dev Tools （开发人员工具） 并执行相同的搜索。请注意权限、命中数、匹配文档和包含字段的差异。

修改主用户（控制台）

1. 转至 https://aws.amazon.com，然后选择 Sign In to the Console (登录控制台).

2. 在 Analytics (分析) 下，选择 Elasticsearch Service.

3. 选择您的域。

4. 选择 Actions （操作）、Modify authentication （修改身份验证）。

5. 选择 Set IAM role as master user (将 IAM 角色设置为主用户) 或 Create new master user (创建新的主用户).

   • 如果您之前使用了 IAM 主用户，则精细访问控制会将 all_access 角色重新映射到您指定的新 IAM ARN。

   • 如果您之前使用了内部用户数据库，则精细访问控制会创建一个新的主用户。您可以使用新的主用户删除旧的主用户。

   • 从内部用户数据库切换到 IAM 主用户不 从内部用户数据库中删除任何用户。相反，它只是禁用 HTTP 基本身份验证。从内部用户数据库中手动删除用户，或者保留它们，以防您需要重新启用 HTTP 基本身份验证。

6. 选择 Submit.